7 min read · 10 sources

Sechzehntausend Datenbanken. Das ist die Zahl falsch konfigurierter Supabase-Instanzen, die UpGuard mit lesbaren Tabellen im öffentlichen Internet gefunden hat, und mehr als die Hälfte davon scheinen personenbezogene Informationen preisgeben zu können. Ein US-amerikanischer Parkservice legte 100.000 Kundendatensätze offen. Ein kanadischer Einwanderungsdienst hinterließ 884 Klartext-Passwörter. Eine in Indien ansässige Erwachsenenplattform leakte 100.000 private Nachrichten. Das ist keine Plattform-Schwachstelle - es ist ein Konfigurationsfehler in großem Maßstab, und es ist die Geschichte, auf die Sie heute reagieren müssen.

Der Rest des Tages ist eine Mischung aus Microsoft, das Office-Lizenzen beschädigt, Anthropic, das Claude in einen App-Store verwandelt, und Cloudflare, das leise einen mandantenübergreifenden Leck behebt, der jeden Workers-Kunden zum Nachdenken bringen sollte. Nichts davon erfordert eine Reaktion auf Heldenniveau, aber alles davon ändert, was Sie in Ihrer eigenen Umgebung überprüfen sollten.

UpGuard fand über 16.000 falsch konfigurierte Supabase-Datenbanken, die lesbare Tabellen mit personenbezogenen Daten, Passwörtern oder Authentifizierungstoken offenlegten.

16.000 Supabase-Datenbanken leaken personenbezogene Daten, Passwörter und Authentifizierungstoken

Source: bleepingcomputer.com ↗

UpGuard identifizierte über 16.000 Supabase-Datenbanken, die lesbare Tabellen offenlegten. Die Schema-Analyse zeigte, dass mehr als die Hälfte personenbezogene Informationen preisgeben könnten, wobei kleinere Teilmengen möglicherweise Passwörter oder Authentifizierungstoken leaken. Die Grundursache sind fehlende oder unwirksame Richtlinien der zeilenbasierten Sicherheit (RLS) und der Missbrauch öffentlicher Schlüssel - kein neu entdeckter Fehler in Supabase selbst.

Der konkrete Schaden ist bereits sichtbar. Ein US-amerikanischer Parkservice legte 100.000 Kundendatensätze offen. Ein kanadischer Einwanderungsdienst hatte 884 Klartext-Passwörter. Eine in Indien ansässige Erwachsenenplattform leakte 100.000 private Nachrichten. Wenn Sie Supabase betreiben, ist dies ein direkter Aufruf, Ihre RLS-Konfiguration zu prüfen: Überprüfen Sie jede Tabelle, verifizieren Sie, dass RLS tatsächlich aktiviert ist (standardmäßig ist es aus), und testen Sie mit einer nicht authentifizierten Rolle. Die Plattform ist in Ordnung; Ihre Richtlinien sind die Angriffsfläche.

Microsoft setzt KB5002907 nach Office-Lizenzdeaktivierungen aus

Source: bleepingcomputer.com ↗

Microsoft hat das optionale Update KB5002907 ausgesetzt, nachdem Berichte aufkamen, dass es unbefristete Office-2016- und Office-2019-Installationen deaktivierte oder in seltenen Fällen entfernte. Das Update war für Microsoft-365-Apps-Installationen gedacht, die über 90 Tage veraltet waren, aber einige Geräte installierten es automatisch, obwohl es optional war.

Die Wiederherstellung ist meist unkompliziert: Die erneute Eingabe des ursprünglichen Produktschlüssels stellt die Aktivierung wieder her. Der heikle Randfall sind gemischte 32-Bit- und 64-Bit-Office-Komponenten, bei denen die Neuinstallation vollständig fehlschlagen kann, sodass Geräte ganz ohne Office bleiben. Support-Teams sollten den Update-Verlauf überprüfen, bevor sie unerwartete Lizenz-Tickets als Abo- oder Kontoprobleme behandeln. Und wenn Sie Updates über Gruppenrichtlinien oder Cloud Update verwalten, nimmt KB5002907 keine Änderungen vor - verifizieren Sie also Ihren Update-Kanal, bevor Sie diesem die Schuld geben.

Die 82 % der IT-Manager, die nie im Managen geschult wurden

Source: cio.com ↗

IT-Manager übertreffen die Erwartungen vor allem deshalb nicht, weil sie nie im Managen geschult wurden. Eine in dem Beitrag zitierte Studie ergab, dass 82 % der Manager ohne formale Management-Schulung in ihre Positionen aufstiegen. Die Fähigkeiten, die zählen, sind kritisches Denken, Geschäftssinn, Innovation, Zusammenarbeit und Führung - nicht die technische Tiefe, die sie befördert hat.

Für Ingenieure erklärt das viel Reibung: schlechtes Verkaufen von Visionen, schwache Partnerschaften mit dem Unternehmen und mittelmäßige Ausführung gehen alle auf ein Beförderungssystem zurück, das technische Leistung über Personalführung belohnt. Die operative Schlussfolgerung für CIOs ist, zu definieren, wofür Manager tatsächlich verantwortlich sind, sie in Geschäftsergebnissen zu coachen und Aufstiegspfade für Spezialisten zu schaffen, die Einzelbeitragende bleiben sollten. Ihren besten Ingenieur ohne Schulung ins Management zu befördern, ist, wie Sie sowohl einen guten Ingenieur verlieren als auch einen mittelmäßigen Manager gewinnen.

Atlassians CEO über die SaaSpocalypse, die keine war

Source: theverge.com ↗

Atlassian-CEO Mike Cannon-Brookes widersprach der Idee, dass KI SaaS-Unternehmen zerstören wird in einem Decoder-Interview. Sein Argument: KI erhöht tatsächlich die Nutzung von Jira und Trello, und Chatbots sind nicht die Zukunft der Arbeit. Strukturierte Systeme und menschliches Urteilsvermögen zählen weiterhin.

Er sprach auch die Entlassungen bei Atlassian an und sagte, das Unternehmen brauche eine andere Mischung an Fähigkeiten, da KI verändert, wie Softwareunternehmen arbeiten. Für IT-Führungskräfte ist die interessante Frage, wer die kombinierte Arbeit aus Mitarbeiterbefähigung, Systemintegration und KI-Kostenmanagement übernimmt. Jede davon als separate Einführung zu behandeln, verfehlt den Punkt - Adoption und Geschäftssysteme sind eng verbunden, weshalb Atlassian interne IT und KI-Befähigung unter seiner Personalführung zusammengelegt hat.

Anthropic verwandelt Claude in einen KI-Marktplatz mit über 2.000 Plugins

Source: bleepingcomputer.com ↗

Anthropic startete den Claude Marketplace und vereint mehr als 2.000 Plugins und Konnektoren von Atlassian, Google, Microsoft, Notion und Salesforce. Entwickler können Konnektoren mit dem Model Context Protocol (MCP) und Agent Skills erstellen, und Unternehmen, die Claude-basierte Software verkaufen, können sich für die Listung bewerben. Beratungspartner wie Accenture und Deloitte sind ebenfalls dabei.

Das ist effektiv ein Play Store für KI-Tools, und es schafft einen neuen Beschaffungskanal, den Sie verwalten müssen. Berechtigte Partnensoftware kann mit einem Teil der zugesagten Anthropic-Ausgaben gekauft werden. Für interne KI-Plattform-Teams ist die bedeutende Änderung der wachsende Katalog an Verbindungen zwischen Assistenten und Geschäftssystemen. Die Marktplatzverfügbarkeit sollte nicht die Überprüfung von Berechtigungen, Datenzugriff, Integrationsverantwortung und wie der Zugriff entfernt wird, wenn jemand geht, ersetzen.

Workday Total Benefits bündelt Gesundheit, Vermögen und Wohlbefinden

Source: newsroom.workday.com ↗

Workday startete Workday Total Benefits, eine KI-Lösung, die Leistungsanbieter-Integrationen, Verwaltungsdienste und Mitarbeiterberatung in einem Angebot vereint. Workday Wellness ist US-Kunden jetzt verfügbar, während die Leistungsberatung über den Self-Service-Agenten im Oktober allgemein verfügbar wird. Es umfasst Life and Money Solutions für persönliche finanzielle Bedürfnisse und Benefits Administration Services für praktische HR-Unterstützung.

Das Timing ist kein Zufall: Arbeitgeber erwarten einen mittleren Anstieg der Gesundheitskosten um 9 % im Jahr 2026. Die Bewertung sollte Anbieterkompatibilität, das Teilen sensibler Mitarbeiterdaten und ob die neuen Workflows bestehende Portale und manuelle Verwaltung ersetzen können, abdecken, anstatt eine weitere Ebene hinzuzufügen. KI-gesteuerte Automatisierung der Leistungsverwaltung ist das Versprechen; ob es Ihre HR-Arbeitslast tatsächlich reduziert, hängt von Ihrem Anbieter-Stack ab.

BitLocker aussetzen, nicht deaktivieren

Source: petri.com ↗

Das Deaktivieren von BitLocker in Windows 11 entschlüsselt das Laufwerk dauerhaft, was zeitaufwendig und für kurzfristige Aufgaben normalerweise die falsche Antwort ist. Das Aussetzen von BitLocker ist besser für BIOS- oder Firmware-Wartung und Upgrade-Fehlerbehebung - es legt den Verschlüsselungsschlüssel vorübergehend offen, ohne das Volume zu entschlüsseln.

Die dauerhafte Entfernung wird nur für die Wiederverwendung oder Entsorgung von Geräten empfohlen. Die operative Schlussfolgerung: Machen Sie das Fortsetzen und Verifizieren des Schutzes zum Teil des Wartungs-Runbooks für Endpunkte, nicht zur optionalen Aufräumarbeit nach der Schließung des Support-Tickets. Das Vergessen, BitLocker nach einer Aussetzung wieder zu aktivieren, lässt Daten auf unbestimmte Zeit offen, und der ganze Sinn der Übung war, das zu vermeiden.

OneDrive-Speicher mit nutzungsbasierter Bezahlung für 0,20 $/GB/Monat

Source: computerworld.com ↗

Microsoft führte nutzungsbasierte Preise für OneDrive-Speicher hinzu und ermöglicht es Microsoft-365-Geschäftskunden, für zusätzliche Kapazität nach Verbrauch zu zahlen, anstatt Pakete im Voraus zu kaufen. Die Option ist jetzt in der öffentlichen Vorschau mit allgemeiner Verfügbarkeit im November, kostet 0,20 $/GB/Monat und ist standardmäßig aus. Das 25-TB-Limit pro Benutzer bleibt bestehen.

Administratoren können Budgetlimits und Warnungen über das Admin-Center festlegen und auswählen, welche Benutzer berechtigt sind. Dies folgt einem ähnlichen Schritt für SharePoint. Enterprise-SaaS verschiebt sich hin zu nutzungsbasierten Preisen, was IT mehr Flexibilität gibt, aber die Kostenüberwachung zu einem Teil des täglichen Plattformmanagements macht. Wenn Sie Benutzer haben, die gelegentlich über ihren lizenzierten Speicher hinausgehen, ist das besser, als ein permanentes Paket zu kaufen, das sie nie füllen werden.

Die Notizfunktion von Google Meet geht heute in den Standardbetrieb

Source: workspaceupdates.googleblog.com ↗

Die neuen Einstellungen von Google Meet für “Notizen für mich übernehmen” treten am 29. September in Kraft. Administratoren können jetzt automatische Notizen für alle Besprechungen, keine oder nur für Besprechungen mit drei oder mehr Personen aktivieren. Es ist standardmäßig EIN für Business Standard und Plus, AUS für Enterprise Standard, Enterprise Plus und Frontline Plus. Endbenutzer können Notizen auch für Besprechungen mit 3+ Teilnehmern aktivieren.

Wenn Sie Administrator sind, überprüfen Sie die Einstellungen der Admin-Konsole, bevor der Rollout Ihren Mandanten erreicht. Der Standard für Ihren Plan ist möglicherweise nicht das, was Sie wollen, und die Einstellungen sind jetzt live. Dies ist ein Fünf-Minuten-Check, der Sie vor einer Überraschung bei Besprechungsnotizen später bewahrt.

Cloudflare behebt eine mandantenübergreifende Schwachstelle in Containers

Source: bleepingcomputer.com ↗

Cloudflare behob eine mandantenübergreifende Schwachstelle in Containers und Sandboxes, die es Workers-Paid-Kunden ermöglichte, Restdaten aus Containern anderer Kunden wiederherzustellen. Der Fehler lag in einem gemeinsam genutzten Speicherpool, der das Nullsetzen wiederverwendeter 64-KiB-Blöcke übersprang, sodass Angreifer Dateien wie SQLite-Datenbanken und .env-Dateien lesen konnten.

Forscher fanden Restmaterial in 18 von 24 Containerplatzierungen, obwohl in Tests keine echten Kundendaten offengelegt wurden. Cloudflare schloss die Behebung bis zum 19. September ab, fand in verfügbarer Telemetrie keine Hinweise auf böswillige Ausnutzung und erfordert keine Maßnahmen auf Kundenseite. Die Ausnutzung erforderte ein Workers-Paid-Konto, was den Angreiferkreis eingrenzt, aber dies ist eine Grenzfrage der Mandantenisolation - die Art von Fehler, die es nicht geben sollte. Wenn Sie sensible Workloads auf Cloudflare Containers betreiben, ist es erwähnenswert, dass der Fix abgeschlossen ist und es nichts für Sie zu patchen gibt.